服務(wù)器存儲(chǔ)數(shù)據(jù)恢復(fù)環(huán)境：
某品牌P2000存儲(chǔ)，存儲(chǔ)中有一組由8塊硬盤(pán)（包含一塊熱備盤(pán)）組建的raid5陣列。上層部署VMWARE ESX虛擬化平臺(tái)。

服務(wù)器存儲(chǔ)故障：
存儲(chǔ)在運(yùn)行過(guò)程中有兩塊硬盤(pán)指示燈亮黃色。經(jīng)過(guò)運(yùn)維人員的初步檢測(cè)，判斷指示燈亮黃色的硬盤(pán)出現(xiàn)物理故障，硬盤(pán)故障表現(xiàn)為：序列號(hào)無(wú)法讀取，在SAS擴(kuò)展卡上無(wú)法識(shí)別。

服務(wù)器存儲(chǔ)數(shù)據(jù)恢復(fù)過(guò)程：
1、將故障存儲(chǔ)中所有磁盤(pán)編號(hào)后取出。將指示燈亮黃色的2塊硬盤(pán)連接到外部SAS擴(kuò)展卡上加電檢測(cè)，發(fā)現(xiàn)其中有一塊盤(pán)磁頭不尋道。硬件工程師將磁頭不尋道的硬盤(pán)的PCB分離、檢查硬盤(pán)HDA組件發(fā)現(xiàn)有部分氧化，進(jìn)行清潔后再次加電，磁頭依然無(wú)法尋道。于是，硬件工程師在無(wú)塵工作間開(kāi)始對(duì)故障硬盤(pán)進(jìn)行開(kāi)盤(pán)修復(fù)。
熱備盤(pán)是正常的，可以作為備件盤(pán)使用。硬件工程師將熱備盤(pán)開(kāi)盤(pán)拆取PCB安裝到故障盤(pán)上，再將故障盤(pán)PCB上的ROM芯片拆取替換到新?lián)Q的PCB上。再次對(duì)故障硬盤(pán)進(jìn)行檢測(cè)，這時(shí)故障硬盤(pán)可以正常起轉(zhuǎn)，磁頭尋道聲音正常，但是敲盤(pán)聲音明顯。由于熱備盤(pán)的磁頭與故障盤(pán)不匹配，只能另找磁頭進(jìn)行更換，更換磁頭后硬盤(pán)可以正常識(shí)別，將故障盤(pán)中數(shù)據(jù)做完整鏡像。將其他完好磁盤(pán)以只讀方式做扇區(qū)級(jí)全盤(pán)鏡像，鏡像完成后將所有磁盤(pán)按照編號(hào)還原到原存儲(chǔ)中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤(pán)數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析所有磁盤(pán)底層數(shù)據(jù)，發(fā)現(xiàn)所有硬盤(pán)的的0扇區(qū)都有“55 AA”標(biāo)志，0x01C2H處表示該分區(qū)的類(lèi)型，“05”表示這是一個(gè)擴(kuò)展分區(qū)。因此從0扇區(qū)看這是一個(gè)不正常的MBR分區(qū)結(jié)構(gòu)。
按照這一方法繼續(xù)查找，分別在另外2塊盤(pán)找到“55 AA”的標(biāo)志，其中一塊盤(pán)查詢(xún)結(jié)果如下圖。這是一個(gè)正常的MBR分區(qū)，其0x01C6處數(shù)值表示指向的下一個(gè)扇區(qū)為GPT的頭部。

北亞企安數(shù)據(jù)恢復(fù)—raid5數(shù)據(jù)恢復(fù)

另外一塊盤(pán)查詢(xún)結(jié)果如下圖。其0x01C6處數(shù)值表示指向下一個(gè)扇區(qū)，下一個(gè)扇區(qū)明顯不是GPT的頭部。

北亞企安數(shù)據(jù)恢復(fù)—raid5數(shù)據(jù)恢復(fù)

由此可以確定0x01C6處數(shù)值表示指向的下一個(gè)扇區(qū)為GPT的頭部的那一塊盤(pán)是第一塊盤(pán)，另外一塊盤(pán)可能是最后一塊盤(pán)。GPT分區(qū)所在扇區(qū)起始于172032扇區(qū)，因此初步判斷LUN的起始扇區(qū)是172032扇區(qū)。
北亞企安數(shù)據(jù)恢復(fù)工程師對(duì)該raid陣列進(jìn)行分析得出條帶大小為1024個(gè)扇區(qū)。按照1024扇區(qū)分割，使一個(gè)記錄為一個(gè)條帶的大小，7塊盤(pán)跳到同一記錄。

北亞企安數(shù)據(jù)恢復(fù)—raid5數(shù)據(jù)恢復(fù)

當(dāng)7塊盤(pán)都定位到同一位置時(shí)，通過(guò)對(duì)比可以判斷校驗(yàn)區(qū)的走向，確定該RAID5為左走向。

北亞企安數(shù)據(jù)恢復(fù)—raid5數(shù)據(jù)恢復(fù)

數(shù)據(jù)恢復(fù)工程師初步確定了LUN的起始扇區(qū)是172032扇區(qū)。使用工具跳到172032扇區(qū)對(duì)硬盤(pán)的使用情況進(jìn)行觀察，正常情況下這個(gè)扇區(qū)所屬條帶中的5號(hào)盤(pán)應(yīng)該是校驗(yàn)區(qū)，但實(shí)際情況中卻顯示校驗(yàn)區(qū)為8號(hào)盤(pán)，根據(jù)該raid左走向的規(guī)律，5號(hào)盤(pán)的校驗(yàn)區(qū)應(yīng)該在172032-1024=171008扇區(qū)，即上一個(gè)條帶。跳轉(zhuǎn)到171008扇區(qū)，發(fā)現(xiàn)校驗(yàn)區(qū)為5號(hào)盤(pán)。因此可以確定LUN的起始扇區(qū)為171008扇區(qū)。
使用工具按照確定的盤(pán)序重組raid，選擇RAID5，Stripe size 512KB，左異步。

北亞企安數(shù)據(jù)恢復(fù)—raid5數(shù)據(jù)恢復(fù)

點(diǎn)擊Build進(jìn)行重組。組好后，由于數(shù)據(jù)從1024*8=8192個(gè)扇區(qū)開(kāi)始，若工具沒(méi)有跳轉(zhuǎn)到此扇區(qū)的功能，那么剛組好的RAID必須和一個(gè)文件再進(jìn)行一次重組操作。
重組后的raid5磁盤(pán)陣列：

北亞企安數(shù)據(jù)恢復(fù)—raid5數(shù)據(jù)恢復(fù)

3、RAID5磁盤(pán)陣列重組完成后，經(jīng)用戶(hù)方仔細(xì)驗(yàn)證，確認(rèn)恢復(fù)的數(shù)據(jù)完整有效，本次數(shù)據(jù)恢復(fù)工作完成。

審核編輯 黃宇